Link
Embed
Share
Beginning
This slide
Copy link URL
Copy link URL
Copy iframe embed code
Copy iframe embed code
Copy javascript embed code
Copy javascript embed code
Share
Tweet
Share
Tweet
Slide 1
Slide 1 text
2016年10月15日 小島 健司 サーバとかセキュリティとかSSLの話 とかいろいろお話します 第3回 WordBench山口
Slide 2
Slide 2 text
自 己 紹 介 小 島 健 司 Twitter https://twitter.com/nu_nrgist Facebook https://www.facebook.com/kenji.kojima.96 ファーストサーバ株式会社でかれこれ十数年働いています。 CMS コミュニティ:WordCamp Kansai 実行委員 ※いつもスポンサー担当 WordBench 大阪 モデレーターのひとり
Slide 3
Slide 3 text
社名 ファーストサーバ株式会社 FirstServer, Inc. 所在地 大阪市中央区安土町1丁目8番15号 野村不動産大阪ビル3F 事業開始 1996年7月 資本金 3億6,357万円 主要株主 ヤフー株式会社 事業内容 レンタルサーバーサービス ドメイン名登録サービス クラウドサービス 会 社 紹 介
Slide 4
Slide 4 text
https://www.templateking.jp/ WordPressの無料テーマ 画像素材も始めました 公式テーマに申請中だけどなかなか進まない・・・ テンプレートキング
Slide 5
Slide 5 text
カスタムカラー機能付の新バージョン 5
Slide 6
Slide 6 text
無料のSSL証明書も2種類取扱っています
Slide 7
Slide 7 text
ウチにもPepperくんがいます。 WordBench大阪その他イベント・セミナーの会場として よく使ってもらっています。
Slide 8
Slide 8 text
本日のお題 8 1.レンサバ屋からお話しする 「WordPressを運用する上で知っておきたい サーバの違いとセキュリティ注意点」 (ココだけの話含む) 2.WordPressサイトの常時SSL化を検討しよう
Slide 9
Slide 9 text
1-1 WordPressを運用する サーバの違い 9
Slide 10
Slide 10 text
今年のWordCamp Kansai、Tokyoでも多くのサーバ会社が協賛 10
Slide 11
Slide 11 text
11 (マネージド)レンタルサーバー 共有 専用(マネージド・セルフ) VPS クラウド オンプレミス(自社サーバー) WordPress専用サービス WordPressを運用するときのサーバー選択肢
Slide 12
Slide 12 text
12 マネージド ノンマネージ(セルフ) サーバ会社同士では この二つでだいたい区別。 一般的にはたぶん浸透していない
Slide 13
Slide 13 text
13 ルート権限あり ルート権限なし
Slide 14
Slide 14 text
14 よく不動産に例えられます
Slide 15
Slide 15 text
15 賃貸マンション・アパート 一戸建て賃貸 持 家 賃貸マンション・アパート 一戸建て賃貸 持 家
Slide 16
Slide 16 text
山口と言ったらやっぱりフグ!? なので不動産とはちょっと違う例えで。
Slide 17
Slide 17 text
「さかな料理が食べたい、食べさせたい」って ときの行動に例えてみる
Slide 18
Slide 18 text
魚屋で1匹丸ごと買ってさばくぜ!
Slide 19
Slide 19 text
さばけないので切身を買って料理する
Slide 20
Slide 20 text
出来たのを買ってくる
Slide 21
Slide 21 text
• さばける人 →ルート権限付の 専用サーバやクラウドで1から • さばけないが切身で料理は出来る →VPSやクラウドAMIなどを使って構築 • 料理できないが盛り付けはできる • 面倒なので今日は料理したくない →マネージド型レンタルサーバ
Slide 22
Slide 22 text
• さばけて料理も出来る人 →ルート権限付の 専用サーバやクラウドで1から • さばけないが切身で料理は出来る →VPSやクラウドAMIなどを使って構築 • 料理できないが盛り付けはできる • 面倒なので今日は料理したくない →マネージド型レンタルサーバ 釣る 魚屋に行く 鮮魚コーナーに 行く 惣菜コーナーに 行く
Slide 23
Slide 23 text
• 魚屋 →さくらインターネットさん(切身や惣菜もあるよ) AWS、IDCFとかを1から構築 • 鮮魚コーナー →AWS+amimotoとかIDCF+kusanagiとか さくらのVPSとか • 惣菜コーナー →エックスサーバさん、GMOペパボさん、 ファーストサーバなどなど
Slide 24
Slide 24 text
WordPressを運用するサーバを構成するもの OS ハードウェア Apache、MySQL、phpなど WordPressなどの コンテンツエリア
Slide 25
Slide 25 text
料理する範囲 OS ハードウェア Apache、MySQL、php WordPressなどの コンテンツエリア OS ハードウェア Apache、MySQL、php WordPressなどの コンテンツエリア OS ハードウェア Apache、MySQL、php WordPressなどの コンテンツエリア サービスによってさまざま 専用サーバとか クラウド VPS マネージドサービス
Slide 26
Slide 26 text
• 料理できない人 + 丸ごと1匹or切身 • 構築・管理できない人 + ルート権限有 自分用や練習は良いけど お客さんに出しちゃダメ!
Slide 27
Slide 27 text
料理できないけど家で出来立てが食べたい! プロに作ってほしい!って時 Cloudpackさんやテコラスさんなど 料理人(MSP)に頼もう!
Slide 28
Slide 28 text
惣菜コーナーにもいろいろ スーパー から 高級デパ地下まで
Slide 29
Slide 29 text
マネージドサービスで提供される領域 29 WEB Mail DB
Slide 30
Slide 30 text
30 提供会社によって提供方式もいろいろ WEB DB Mail WEB DB Mail DB Mail WEB Mail WEB DB Mail WEB DB Mail Mail DB WEB DB WEB WEB Mail DB
Slide 31
Slide 31 text
内風呂か大浴場か 例えるなら 一長一短、案件や利用、好みに応じて
Slide 32
Slide 32 text
32 https://www.spamhaus.org/sbl/listings/firstserver.co.jp
Slide 33
Slide 33 text
WordPress簡単インストールの違い 1. プログラムをダウンロード 2. 解凍 3. アップロード 4. DB作る 5. WordPressのウィザードに従って 設定する 6. /wp-admin/にアクセスする 33 簡単インストール機能で 5. までやってくれるのもあれば 3.くらいまでのサービスも(←簡単ちゃうやん)
Slide 34
Slide 34 text
自分の技量とか状況とか 案件の内容によって 適切なサーバ選びを! 34
Slide 35
Slide 35 text
1-2 セキュリティについて
Slide 36
Slide 36 text
サーバへの攻撃は ほとんどが いたずらや技術力誇示じゃなくて 36 お金儲け=ビジネス目的です!
Slide 37
Slide 37 text
気をつける範囲 OS ハードウェア Apache、MySQL、 php WordPressなどの コンテンツエリア OS ハードウェア Apache、MySQL、 php WordPressなどの コンテンツエリア OS ハードウェア Apache、MySQL、 php WordPressなどの コンテンツエリア サービスによってさまざま
Slide 38
Slide 38 text
被害にあわない為には ・古いバージョンは使わない! ・テーマやプラグインは公式もしくは信頼できるところから! 例:信頼できる→公式テーマやtemplateking.jp 危ない→ブログ記事・まとめサイトから海外サイトへ DownLoad →悪いコードが仕込まれてた ・カスタマイズは情報は信頼できる人からの情報を! WordPress Codex 、フォーラムなど ・WAFの活用
Slide 39
Slide 39 text
多くのレンタルサーバで利用できる WAF (WEBアプリケーションファイアウォール)
Slide 40
Slide 40 text
WAFとは ウェブアプリケーションの脆弱性を悪用した攻撃から ウェブサイトを保護するソリューション WWW 不正アクセス 正当なアクセス WAF
Slide 41
Slide 41 text
不正なアクセスをブロック HTTPステータス403 Forbiddenを応答
Slide 42
Slide 42 text
CMSの利用でブログ等に よく掲載されている残念なこと 「○○が出来ないときはWAFをOFFに」 ↓ カスタムシグネチャで回避。
Slide 43
Slide 43 text
SiteGuard WP Plugin https://ja.wordpress.org/plugins/siteguard/ ファーストサーバのZenlogicではWordPress簡単インストール時に 同梱してインストールしています。 多くのレンタルサーバーが採用するWAF セキュリティプラグインも公開されています
Slide 44
Slide 44 text
SiteGuard WP Pluginの機能 インストール後、すぐに利用できる日本語のセキュリティプラグイン
Slide 45
Slide 45 text
改ざんされてしまったら
Slide 46
Slide 46 text
意外に多い2度目の改ざん!! 改ざんされた領域だけでなく全チェックを! どこに何を仕掛けられているかわからない 例) ・サイトの表示だけ直して 他のディレクトリにもスクリプトが 置かれていた ・コンテンツ削除したが 前のコンテンツを悪いスクリプトごと 置いてしまった。
Slide 47
Slide 47 text
推奨している対処 サーバ上の全コンテンツ削除 全FTPアカウントのパスワード変更 管理画面のパスワード変更 PC環境のセキュリティチェック 大丈夫なコンテンツのアップロード
Slide 48
Slide 48 text
ホームページの修復だけじゃない • 何をされましたか? • どんなデータが存在していましたか? →把握していますか? 最悪の事態になっていないかをチェック
Slide 49
Slide 49 text
49 2.WordPressサイトの常時SSL化を検討しよう
Slide 50
Slide 50 text
なんで常時SSLにした方がいいの? 50
Slide 51
Slide 51 text
51 wifiあります! SSID:○ ○ ○ ○ ○ ○ ○ key :※ ※ ※ ※ ※ ※ ※ ※ ※
Slide 52
Slide 52 text
「保護」はアクセスポイントまで! 52 サーバー wifiアクセスポイント internet http://ではココだけ http://ではココは生 https://では全部暗号化通信
Slide 53
Slide 53 text
ニセのアクセスポイントかも 53 サーバー 本物の アクセスポイント 盗聴・改ざん・・・ ニセの アクセスポイント
Slide 54
Slide 54 text
問合せフォーム ネットショップの決済 管理画面 etc. TOPからhttpsにする必要あるの? こういうページは わかるけど
Slide 55
Slide 55 text
誰の為にSSL化? 55 サイト運営者 サイト閲覧者 こちら側の目線が 強かった こちらに注目!
Slide 56
Slide 56 text
スマホを後ろから覗き見・・・
Slide 57
Slide 57 text
57 今 となりの人 あの番組見てるなー 壁の向こうから聞かれる・・・
Slide 58
Slide 58 text
58 例)カフェで提供されているwi-fiのニセwi-fi 覗き見 いつもhttp://example.com/ のサイト見て る・・・ ↓ ↓ ↓ ↓ ↓ ↓ ↓ 傾向からフィッシングサイトへの誘導 攻撃の準備 etc. 危険がいっぱい!
Slide 59
Slide 59 text
常時SSLに! 59 サーバー internet https://で暗号化通信!
Slide 60
Slide 60 text
ブラウザも厳しく 60 firefox chrome
Slide 61
Slide 61 text
証明書の違い 61
Slide 62
Slide 62 text
3種類あるの知ってる?
Slide 63
Slide 63 text
3種類のサーバ証明書 ドメイン認証 企業認証 拡張認証 Domain Validation Organization Validation Extended Validation DV OV EV
Slide 64
Slide 64 text
証明書の違い ドメイン認証 DV 企業認証 OV 拡張認証 EV ドメイン名の使用権限を認証 ○ ○ ○ 企業の実在性を認証 × ○ ◎ フィッシング詐欺対策 × ○ ◎ アドレスバーに組織名表示 × × ○ 信頼性 ★ ★★ ★★★ 費用 低 中 高
Slide 65
Slide 65 text
認証プロセス【ドメイン認証】 証明書の発行 ドメイン名の 使用権限確認 ドメイン認証 ドメイン名の使用権限を確認するのみ。 ・無料もある ・低価格 ・発行が早い ・個人でも取得OK 誰でも手軽に取得できる→信頼度は星ひとつ 「Search Console」みたいな感じで認証
Slide 66
Slide 66 text
認証プロセス【企業認証】 証明書の発行 ドメイン名の 所有者・使用権限確認 登記や 帝国データバンク等の データベースを確認 申請責任者への 電話確認 企業認証 ドメイン名の所有者名・使用権限と実在確認 ・実際に存在するかを電話確認 ・住所の証明等に公共料金の請求書等の 提出が必要な場合あり ・個人はNG 証明書ベンダーにより個人事業主はOKなものも
Slide 67
Slide 67 text
認証プロセス【拡張認証】 証明書の発行 登記や 帝国データバンク等の データベースを確認 申請責任者への 電話確認 申請責任者 権限確認者の確認 EV証明書 最も厳格な審査 最高度の信頼性を実現 金融機関などが多く利用 アドレスバーも違う! ドメイン名の 所有者・使用権限確認
Slide 68
Slide 68 text
アドレスバーの違い 企業認証(OV)、ドメイン認証(DV)では組織名称は表示されない 拡張認証(EV)では組織名称が表示されます。
Slide 69
Slide 69 text
スマホブラウザ 69 iPhoneでEV Android標準ブラウザだと EVでも社名は出ない
Slide 70
Slide 70 text
詳細表示のちがい OVとEVでは 組織名称が表示。 DVでは 組織名称が 表示されない。
Slide 71
Slide 71 text
ドメイン認証 企業認証 拡張認証 Domain Validation Organization Validation Extended Validation DV OV EV サイトの性質や予算により 適切なものを選択しましょう
Slide 72
Slide 72 text
無料の証明書!?「 Let’s Encrypt 」とは https://letsencrypt.org/ Cisco Systemsやモジラ財団などの大手企業・団体がス ポンサーとして支援する非営利団体の ISRG(Internet Security Research Group)が運営。 証明書を無料で発行し、HTTPS通信を普及させることを 目的。 レンタルサーバでは ファーストサーバとエックスサーバさんで簡単に 使えます! WordPress.comでも採用されています。
Slide 73
Slide 73 text
SNI 73 ■SNI非対応のサービスだと サーバにドメイン名の設定は無制限に設定できても https化できるのは1つのみ。 https://example.com/ http://example.net/ http://example.org/ サーバー ■SNI対応のサービスだと 1つのIPアドレスに対して複数のSSL証明書が設定できます。 https://example.com/ https://example.net/ https://example.org/ サーバー
Slide 74
Slide 74 text
WordPressを常時SSL化
Slide 75
Slide 75 text
まずはhttpsでアクセスできるように 75 証明書の申込などをしてから 【https】でアクセスしたときのドキュメントルートを設定 https://example.com/でCMSにアクセスできるように レンタルサーバによって違う (Zenlogicは結構簡単だと思うよ)
Slide 76
Slide 76 text
ダッシュボードでhttp→httpsに変更 76 ※サーバの仕様や設置ディレクトリにより注意してください
Slide 77
Slide 77 text
便利なプラグイン 77 https://ja.wordpress.org/plugins/really-simple-ssl/ リダイレクト設定を 入れたり 画像のパスとかを 変更してくれる
Slide 78
Slide 78 text
翻訳しました 78
Slide 79
Slide 79 text
11/12 WordBench山口でもいかがですか? 79
Slide 80
Slide 80 text
80 ご清聴ありがとうございました。 続きは懇親会などで。